Il cyberattacco contro il Manchester airports group (Mag), società che gestisce gli aeroporti di Manchester, London Stansted ed East Midlands, non è soltanto l’ennesimo data breach ai danni di una grande organizzazione europea, ma rappresenta un caso interessante per comprendere come stia cambiando la struttura della minaccia cybercriminale e quanto sia diventato difficile distinguere l’autore materiale di un’intrusione dall’ecosistema criminale che successivamente monetizza l’accesso e i dati sottratti. Le informazioni emerse finora delineano uno scenario abbastanza preciso. Gli aggressori sarebbero riusciti a sottrarre informazioni relative a circa 8,7 milioni di clienti.La maggior parte riguarderebbe indirizzi email acquisiti attraverso le registrazioni ai servizi Wi-Fi degli aeroporti, mentre per una quota degli utenti sarebbero stati compromessi anche numeri telefonici, indirizzi e targhe automobilistiche associate, tra l’altro, ai servizi di parcheggio. Gli hacker avrebbero inoltre avanzato una richiesta di riscatto, che Mag avrebbe deciso di non pagare. L’elemento fondamentale, però, è un altro: non risultano compromessi i voli né i sistemi direttamente connessi alla sicurezza aeroportuale. Di conseguenza, non sembra che l’obiettivo principale dell’operazione fosse produrre un’interruzione operativa, ma piuttosto quello di acquisire informazioni e monetizzarle. Una distinzione fondamentale perché, dal punto di vista della cyber threat intelligence, modifica radicalmente la lettura dell’attacco.Il primo interrogativo da porsi, nell’ambito dell’intelligence, è il seguente: chi ha ottenuto l’accesso? Quando si verifica un incidente di queste dimensioni, la domanda apparentemente più semplice è: chi è stato? In realtà, nel cybercrime contemporaneo la domanda dovrebbe essere formulata diversamente: chi ha ottenuto l’accesso iniziale e chi ha successivamente gestito l’estorsione? Va precisato che le due entità potrebbero non coincidere, e ciò rappresenta una delle trasformazioni più importanti prodotte dalla professionalizzazione della criminalità informatica. Il modello tradizionale dell’hacker che individua una vulnerabilità, entra nella rete, installa il ransomware e successivamente contatta la vittima rappresenta ormai soltanto una delle possibili configurazioni operative.Va evidenziato che l’economia cybercriminale è diventata una vera industria, caratterizzata da una crescente divisione del lavoro. Esistono operatori specializzati nell’individuazione delle vulnerabilità, altri nell’acquisizione delle credenziali, e altri ancora nel social engineering. Ci sono “Initial Access Broker” che penetrano nelle organizzazioni e successivamente vendono l’accesso alle reti compromesse, così come esistono sviluppatori di ransomware, affiliate che utilizzano le piattaforme Ransomware-as-a-Service, negotiator incaricati di trattare con le vittime e organizzazioni specializzate nel riciclaggio delle criptovalute. L’attacco informatico diventa quindi una supply chain criminale. Ed è all’interno di questa architettura che dovrebbe essere analizzato il caso Mag.Scattered Spider: una pista che merita attenzioneTra le ipotesi che ritengo debbano essere prese in considerazione c’è quella relativa all’ecosistema comunemente identificato come “Scattered Spider”, indicato anche con denominazioni come UNC3944 e Octo Tempest. Va precisato che allo stato attuale non esistono elementi pubblicamente disponibili che consentano di attribuire definitivamente l’attacco contro Mag a Scattered Spider. Purtuttavia esistono delle caratteristiche dell’operazione e dei precedenti che rendono questa pista particolarmente interessante. Scattered Spider ha costruito la propria reputazione criminale soprattutto attraverso una capacità che dovrebbe preoccupare qualsiasi grande organizzazione: attaccare l’identità prima ancora dell’infrastruttura. I suoi operatori sono stati associati a campagne caratterizzate dall’impiego intensivo di social engineering, phishing, smishing, vishing, SIM swapping, compromissione delle credenziali e manipolazione dei processi di assistenza informatica.Il punto d’ingresso può quindi non essere necessariamente una vulnerabilità zero-day, ma può essere una telefonata. Un operatore contatta l’help desk sostenendo di essere un dipendente che ha perso il telefono o che non riesce più ad accedere al proprio account. Possiede già alcune informazioni personali sulla vittima, magari acquisite attraverso precedenti data breach, social network, database clandestini o attività OSINT. Di conseguenza, l’interlocutore appare credibile. A questo punto, ottiene il reset delle credenziali o la registrazione di un nuovo dispositivo per l’autenticazione multifattore. Da quel momento l’attaccante non deve più forzare l’ingresso, poiché accede ai sistemi utilizzando un’identità legittima. Ed è proprio questa caratteristica a rendere gruppi come Scattered Spider particolarmente pericolosi.L’identità è diventata il nuovo perimetroPer decenni la cybersecurity è stata costruita intorno al concetto di perimetro. Firewall, segmentazione delle reti, intrusion detection system e sistemi antivirus avevano il compito di distinguere ciò che era interno all’organizzazione da ciò che si trovava all’esterno. Cloud computing, smart working, dispositivi mobili e servizi SaaS hanno progressivamente dissolto quel confine, ma attualmente il nuovo perimetro è rappresentato dall’identità. Se un aggressore dispone delle credenziali corrette, supera l’autenticazione multifattore o convince un operatore a modificare i meccanismi di autenticazione, può apparire ai sistemi come un normale utente. È il motivo per cui la componente Humint, paradossalmente, sta diventando sempre più importante anche nelle operazioni cybercriminali. Non si tratta naturalmente di Humint nel significato istituzionale utilizzato dai servizi di intelligence, ma la logica è molto simile: studiare il comportamento umano, individuare vulnerabilità psicologiche, costruire una relazione di fiducia e manipolare l’obiettivo affinché compia volontariamente un’azione utile all’attaccante. In altri termini, è il social engineering ad asssumere la forma del sistema dell’ingegnerizzazione digitale della fiducia.Il precedente britannico di Transport for LondonLa pista Scattered Spider assume ulteriore interesse osservando quanto accaduto precedentemente nel Regno Unito. È l’attacco condotto contro Transport for London nel 2024 a rappresentare un precedente particolarmente significativo. Ancora nel luglio 2026 due giovani legati a Scattered Spider sono stati condannati nel Regno Unito per il loro coinvolgimento nell’operazione. La compromissione aveva interessato una delle più importanti infrastrutture di mobilità europee e aveva consentito l’accesso a informazioni relative a milioni di utenti. Le ricostruzioni investigative hanno evidenziato anche l’importanza del social engineering e della manipolazione dei processi di assistenza informatica. In considerazione di quanto evidenziato, il parallelismo con il caso Mag risulta oltremodo evidente: ancora il Regno Unito, ancora una grande organizzazione della mobilità, ancora milioni di identità digitali. Non è una prova, ma nell’intelligence analysis i precedenti operativi fanno parte della costruzione del profilo dell’avversario. La domanda diventa quindi: il comportamento osservato nell’incidente Mag è compatibile con il modus operandi già associato a Scattered Spider? La risposta, sulla base delle informazioni pubbliche attualmente disponibili, è che alcuni elementi risultano compatibili. Stabilire se siano anche identificativi richiede però indicatori tecnici che soltanto Mag, il National Cyber Security Centre britannico e gli investigatori possono possedere.La possibile kill chain dell’attaccoIn assenza di dati forensi pubblici non è possibile ricostruire la sequenza effettivamente utilizzata contro Mag. È tuttavia utile comprendere quale potrebbe essere la struttura di un’operazione di questo genere. La prima fase è la reconnaissance. L’organizzazione viene studiata attraverso fonti aperte, LinkedIn, social network, precedenti data breach e database criminali. Vengono identificati dipendenti, amministratori, fornitori, help desk, piattaforme cloud e procedure interne. Successivamente si procede con la fase di “initial access”. Può essere ottenuto attraverso credenziali precedentemente compromesse, phishing, vishing, Sim swapping, session cookie rubati, MFA fatigue o manipolazione del supporto tecnico. La terza fase è rappresentata dalla “privilege escalation”. L’aggressore cerca di acquisire privilegi superiori, identificando account amministrativi, sistemi IAM, directory aziendali e strumenti di gestione remota. Segue la fase di “lateral movement”.L’operatore esplora progressivamente l’infrastruttura cercando i sistemi più interessanti. Ed è in questa fase che si concretizza il cambiamento della logica dell’attacco. L’obiettivo non deve necessariamente essere il domain controller, ma può essere il database. In questo caso, l’esfiltrazione precede l’estorsione. Una volta individuate le informazioni utili, inizia la fase di raccolta. I dati vengono aggregati, compressi ed esfiltrati verso infrastrutture controllate dagli aggressori. A quel punto l’organizzazione criminale possiede già la propria principale arma negoziale. In altri termini, non è più necessario cifrare l’intera infrastruttura, ma risulta sufficiente dimostrare alla vittima di possedere milioni di record. Nasce così un modello che potremmo sintetizzare in: “Access → Discovery → Collection → Exfiltration → Extortion”, ovvero una kill chain differente da quella del ransomware tradizionale. L’ultima fase è rappresentata da quella “psicologica” prima ancora che tecnologica. La vittima viene contattata e messa davanti a una scelta: pagare oppure affrontare le conseguenze della pubblicazione dei dati. Danni reputazionali, possibili sanzioni, notifiche agli utenti, contenzioso e costi di incident response diventano strumenti indiretti nelle mani degli estorsori.DragonForce e la criminalità informatica “as-a-service”In questo scenario assume importanza anche l’ecosistema DragonForce. Scattered Spider non deve essere interpretato necessariamente come un ransomware group tradizionale dotato di un unico malware e di una struttura gerarchica stabile, poiché i suoi operatori sono stati associati nel tempo all’utilizzo di differenti strumenti ed ecosistemi ransomware. Tra questi è stato indicato anche DragonForce. Questo significa che, qualora emergesse un collegamento con una determinata piattaforma ransomware o infrastruttura di leak, non sarebbe automaticamente dimostrato che la compromissione iniziale sia stata effettuata dagli stessi soggetti che gestiscono quella piattaforma. È la logica del Ransomware-as-a-Service. Lo sviluppatore fornisce la tecnologia e l’infrastruttura e gli affiliati conducono gli attacchi. Altri soggetti possono fornire gli accessi. Il risultato è un modello criminale modulare schematizzato come segue: Initial Access Broker → intrusion operator → data exfiltration → ransomware/extortion platform → negotiation → laundering. Va precisato che ogni segmento può essere gestito da attori differenti, e ciò consente di comprendere come l’attribuzione sia sempre più complessa da realizzare.Gli 8,7 milioni di clienti sono il vero obiettivo strategicoUn altro elemento merita particolare attenzione è rappresentato dal fatto che la molteplicità di dati sottratti, come email, numero telefonico, indirizzo etc. costituiscono componenti estremamente utili nella costruzione dell’identità digitale di una persona. Se questi elementi vengono aggregati con dati provenienti da altre violazioni, social network, data broker e fonti aperte, ciò può consentire una profilazione molto più sofisticata. Il cybercriminale potrebbe sapere che una determinata persona utilizza un certo indirizzo email, possiede uno specifico numero telefonico, guida un determinato veicolo e ha utilizzato i servizi di un aeroporto. Sono tutte informazioni che permettono di costruire attacchi di spear phishing estremamente convincenti. Una falsa email relativa alla prenotazione di un parcheggio aeroportuale, ad esempio, potrebbe contenere informazioni reali sul cliente, così come una comunicazione fraudolenta sul Wi-Fi dell’aeroporto potrebbe essere inviata proprio agli utenti che lo hanno utilizzato. È questa la differenza tra phishing generico e social engineering data-driven.Quando l’intelligenza artificiale entra nell’equazioneEsiste poi una dimensione ulteriore. L’intelligenza artificiale generativa sta riducendo drasticamente i costi necessari per trasformare grandi database rubati in campagne personalizzate. In passato la personalizzazione di milioni di comunicazioni richiedeva tempo e risorse. Oggi un sistema automatizzato può classificare gli utenti, correlare informazioni, generare messaggi differenti per ciascun profilo, tradurli, adattarne il tono e produrre conversazioni plausibili. A questo si aggiungono voice cloning, deepfake audio e sistemi conversazionali. La combinazione tra stolen data + OSINT + AI generativa può quindi trasformare un data breach in una piattaforma industriale per il social engineering. Va altresì evidenziato che i dati sottratti dalle organizzazioni criminali non rimangono necessariamente nelle mani degli autori dell’attacco, ma possono essere venduti, scambiati, aggregati o acquisiti da altri soggetti. Ed è qui che il cybercrime incontra inevitabilmente l’intelligence. Non significa affermare che Scattered Spider, DragonForce o qualsiasi altra organizzazione criminale operi necessariamente per conto di uno Stato, ma significa riconoscere che il mercato clandestino dei dati può rappresentare una gigantesca fonte informativa anche per attori differenti da quelli che hanno originariamente effettuato l’intrusione. Immaginiamo di incrociare un database aeroportuale con leak provenienti da compagnie telefoniche, social network, strutture alberghiere, servizi finanziari o piattaforme commerciali. Progressivamente emerge una mappa. Identità, contatti, movimenti, interessi, veicoli e relazioni possono diventare elementi di una profilazione molto più ampia. È uno scenario che identifica una forma indiretta di intelligence prodotta dall’accumulazione dei dati.La pista russa, per ora, convince menoIl contesto geopolitico impone inevitabilmente una valutazione della possibile matrice statuale. Il Regno Unito rappresenta uno dei principali sostenitori dell’Ucraina e Mosca ha più volte utilizzato una retorica aggressiva nei confronti di Londra. Non è certamente un caso che le autorità britanniche osservano con crescente attenzione il rischio di sabotaggi, operazioni clandestine e attività cyber contro infrastrutture strategiche. Un attacco contro tre aeroporti britannici, letto soltanto attraverso la lente geopolitica, potrebbe quindi suggerire immediatamente uno scenario di questo genere, purtuttavia l’intelligence non può costruire l’attribuzione sulla coincidenza temporale, ma occorre analizzare intento, capacità, comportamento ed effetto prodotto, e gli elementi pubblicamente conosciuti raccontano, almeno per ora, una storia differente. Non risultano paralizzati gli aeroporti, non risultano compromessi i voli e neppure risultano sabotati sistemi critici. Risultano invece sottratti milioni di dati ed effettuata una richiesta di riscatto. È un comportamento molto più coerente con un attore economicamente motivato. Se l’obiettivo di un apparato ostile fosse stato generare instabilità, pressione psicologica e danno economico contro Londra, l’interruzione delle operazioni aeroportuali avrebbe probabilmente prodotto effetti strategici enormemente superiori. Per questo, allo stato delle informazioni disponibili, la matrice criminale appare più convincente di quella statuale.Il caso britannico pone infine un problema molto più ampio.La protezione delle infrastrutture critiche non può più essere limitata alla disponibilità dei sistemi operativi. Deve comprendere identità, supply chain, piattaforme cloud e soprattutto dati. Perché il cybercrime contemporaneo ha compreso qualcosa che anche le organizzazioni devono imparare rapidamente: non è sempre necessario distruggere un’infrastruttura per colpirla, ma a volte basta sottrarre ciò che possiede di più prezioso, ovvero le informazioni. Ed è per questa ragione che, mentre le autorità britanniche proseguono le indagini, la pista Scattered Spider merita particolare attenzione. Non come attribuzione già dimostrata, ma come ipotesi di cyber threat intelligence coerente con alcune caratteristiche dell’operazione e con l’evoluzione dell’ecosistema criminale internazionale. La vera domanda, tuttavia, potrebbe non essere semplicemente chi abbia attaccato gli aeroporti britannici, ma potrebbe essere molto più complessa: chi ha ottenuto l’accesso, chi ha sottratto i dati, chi sta conducendo l’estorsione e, soprattutto, nelle mani di chi finiranno domani le informazioni di 8,7 milioni di persone? È in questa concatenazione di attori, interessi e mercati clandestini che si trova oggi una delle dimensioni più difficili da comprendere della minaccia cyber. Questa versione mette al centro la cyber threat intelligence e rende la pista Scattered Spider una tesi analitica, evitando di trasformarla in un’attribuzione non ancora dimostrata.